안철수연구소

Conficker 조치 가이드 (1)

1. Conficker 개요 ——————————————————————————————————- 해당 악성코드는 윈도우 보안 취약점(MS08-067), 관리공유 및 이동디스크를 통해 빠르게 확산되어 네트워크 자원(랜덤 및 B클래스 IP대역을 대상으로 Remote TCP 445포트로 대량의 트래픽 발생)을 소모시킨다. 추가적으로 진단을 어렵게 하는 기법이 사용되었는데, 악성코드 원본을 Svchost.exe에 Remote Handle(원격핸들)로 오픈하여 실행되며, 악성코드가 등록한 레지스트리 서비스 및 악성파일 원본에 Read권한을 없애 파일/레지스트리에 접근을 불가능하게 한다. 2. Conficker 증상 확인 방법 ——————————————————————————————————-  A. 네트워크를 통한 확인 방법 [주요 증상] – TCP 445 포트로 다량의 트래픽을 발생 – DNS 쿼리를 후킹하여 보안 사이트만 접속되지 않도록 하는 증상 발생 (ex) MS 사이트, ahnlab.com 등   [의심 증상] – 랜덤 및 B클래스 IP대역을 대상으로 Remote TCP 445포트를 통한 대량의 트래픽 발생시키는 시스템 존재   [세부 확인] – 의심 증상이 발생되는 시스템에서 패킷 덤프를 저장한 후…

네트워크 트래픽 유발 Win32/Palevo.worm 조치가이드

1. 개 요 Win32/Palevo.worm(원본파일명 ; sysdate.exe) 악성코드 관련하여 UDP/5907, UDP/80 등 다수 트래픽을 유발하는 현상이 발생하여 긴급 조치를 위한 가이드를 작성/배포합니다. [그림 1. 관련 트래픽 차단 현황] 2. 주요 증상 주요증상은 다음과 같습니다. 1) 시스템 루트RECYCLERs-1-5-21-[숫자]에 sysdate.exe, Desktop.ini 파일을 생성. 2) 레지스트리 추가를 통해 시작프로그램에 등록. HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogonTaskman “C:RECYCLERS-1-5-21-[숫자]sysdate.exe” HKEY_USERSS-1-5-21-[숫자]SoftwareMicrosoftWindows NTCurrentVersionWinlogonshell explorer.exe,C:RECYCLERS-1-5-21-[숫자]sysdate.exe 3) 외부 사이트 접속시도 b***erfly.***Money.biz  9*.9.1*0.**3 bu****fly.s***p.es  8*.1*6.1**.7* q***asdfg.sinip.es 7*.2**.1*2.1*2 unk****.w*  7*.*0.2*.1** 3. 증상 발생 시 조치방법 1) 긴급 수동조치  추가 감염을 예방하기 위해 시스템루트RECYCLER 폴더 이하에 생성된 sysdate.exe 파일을 삭제 합니다. 삭제하는 방법은 아래와 같습니다. 먼저 Ice Sword 툴을 다운로드 합니다. 프로그램은 아래 주소에서 다운로드 하실 수 있습니다. 다운로드 : http://asec001.v3webhard.com/IceSword.zip 다운로드 받은 프로그램을 실행하면 위와 같은 프로그램이 실행이 됩니다. 이제 해당 파일을 삭제하기 위해 File 탭으로…

리포트 수동 수집 안내

이전에 안철수연구소에 바이러스를 신고하는 방법에 대한 글을 포스팅 한적이 있습니다. http://core.ahnlab.com/25 이번 글에서는 인터넷이 불가능한 PC에서 신고하는 방법에 대해 포스팅 하도록 하겠습니다. 먼저 아래 안리포트 파일을 임의의 폴더에 다운로드 받습니다. 안리포트(AhnReport) 다운로드(클릭)다운받은 파일을 실행하여 상단의 [악성코드신고]을 클릭하고 창이 뜨면 하단의 [저장]을 클릭합니다. 저장될 위치를 선택하고 파일명을 임의로 적으신뒤 저장합니다. 이제 저장이 완료되면 생성된 arc 파일을 바이러스신고센터의 '현재 증상이 나타나고 있는 PC에서 신고할 수 없는 경우'의 신고하기 버튼을 클릭하셔서 첨부하여 보내주시기 바랍니다. 신고하여 주시는 내용은 확인 후 신속하게 답변을 해 드립니다.어때요? 참 쉽죠?

바이러스(Win32/Induc) 수동 제거 방법

V3 제품에서 Win32/Induc 진단명에 대해 수동 제거로 나타난 항목에 대해 제거하는 방법에 대해 소개해 드리겠습니다. 현재 국내에서 배포되는 프로그램 중 많은 프로그램이 Win32/Induc 바이러스에 감염되어 있습니다. 해당 글에서는 이러한 프로그램 리스트를 목록화 하여 제거하는 방법까지 소개를 하도록 하겠습니다. 먼저 V3 제품에서의 진단 로그를 확인합니다. 위의 빨간 박스의 내용의 감염된 파일 경로를 확인합니다. 그리고 아래 목록에서 감염된 파일 경로가 같은 항목을 찾습니다. Win32 Induc 리스트.xlsx 위 프로그램들은 Win32/Induc 바이러스에 감염된 이력이 있었던 프로그램들로 최신 버젼은 대다수 조치가 되었으니 최신버젼으로 설치를 권장 드립니다. 진단된 파일 경로와 같은 경로를 찾으셨다면 우측에 있는 삭제할 파일 또는 프로그램명 – 삭제방법 으로 구성된 내용을 기억하십시오. 그리고 아래 해당되는 삭제방법 대로 따라해주시면 됩니다. 1) ActiveX 로 설치된 경우 1. 내컴퓨터를 실행합니다. 2. C:WINDOWSDownloaded Program Files 경로로 이동합니다. 3….

도와줘요 안철수연구소! 악성코드 신고방법

안철수연구소에서는 24시간 365일 대응체제를 유지하며, 악성코드 관련 문의 및 신고를 받고 있습니다. 그럼 신고 방법에 대해 알아보도록 하겠습니다. 먼저, 안철수연구소 홈페이지(http://www.ahnlab.com)의 [시큐리티 센터] > [바이러스 신고센터]를 방문합니다. (또는 현 블로그 상단의 “바이러스 신고센터” 메뉴를 통해서도 접속하실 수 있습니다.) [그림 1] 바이러스 신고센터 접속 방법 [그림 2] 바이러스 신고센터 페이지 증상이 발생되는 시스템에서 “현재 증상이 나타나고 있는 PC에서 신고하는 경우” 를 통해 자세한 증상과 함께 문의를 접수시, 자동으로 시스템 정보파일(AhnReport)의 수집 및 문의가 접수됩니다. 만일, 증상 발생 시스템에서 안철수연구소 홈페이지 접속이 불가능 하거나, 의심파일만 접수하시는 등의 이유로 직접적인 접수가 불가한 경우에는 “현재 증상이 나타나고 있는 PC에서 신고할 수 없는 경우” 로 접수하시면 됩니다. 그럼 저희 ASEC대응팀에서 수집된 리포트 및 문의내용을 바탕으로 문제를 파악하고 분석하여 문제를 해결하여 답변을 드리게 되는 것입니다. 어때요? 안철수연구소에 문의…